Pourquoi les changements d'infrastructure sont importants
Le bureau d'enregistrement, les serveurs de noms, le fournisseur de messagerie et l'hébergement d'un domaine peuvent tous changer au fil du temps, parfois dans le cadre d'une maintenance de routine et parfois parce que le contrôle du domaine est passé à une autre partie, légitimement ou non. Un changement soudain peu avant qu'un domaine ne soit utilisé dans un rapport de fraude, ou un changement affectant un domaine déjà connu pour être sensible, comme celui d'un fournisseur ou d'une marque, est un événement significatif qui mérite une enquête, même si le changement en soi n'est pas intrinsèquement suspect.
Quoi comparer
Comparez les enregistrements RDAP successifs pour le même domaine: bureau d'enregistrement, codes de statut, serveurs de noms et horodatage du dernier événement modifié. Un transfert vers un nouveau bureau d'enregistrement combiné à de nouveaux serveurs de noms dans une courte période est plus remarquable que l'un ou l'autre changement seul. Côté DNS, comparez les enregistrements NS pour une migration de serveur de noms, les enregistrements MX pour un changement de fournisseur de messagerie, et les enregistrements A/AAAA pour un changement d'hébergement, chacun horodaté au moment de la collecte.
Les journaux de transparence des certificats ajoutent un point de comparaison supplémentaire : un nouveau certificat soudainement émis pour un domaine peu après d'autres changements d'infrastructure peut marquer le moment où un nouvel opérateur a réellement mis le site en ligne, ce qui est souvent plus informatif que la seule date de modification DNS, car le DNS peut être modifié bien avant la publication de nouveau contenu.
Détection de changement sans flux historique
Une consultation ponctuelle publique DNS ou RDAP ne montre que l'état actuel; elle ne peut pas à elle seule vous montrer ce qui a changé ni quand. La détection des changements nécessite soit une comparaison avec un instantané précédemment sauvegardé par le même enquêteur, soit l'utilisation d'un service qui effectue cette comparaison pour vous. Traitez tout écart entre les observations comme une période pendant laquelle plusieurs changements auraient pu se produire sans être capturés individuellement.
Utilisation de la surveillance continue
Pour les domaines qui sont importants pour une organisation de manière continue, tels que ses propres domaines, les domaines de ses fournisseurs ou les noms de domaine ressemblants précédemment signalés, une comparaison automatisée périodique est plus fiable que des vérifications manuelles ad hoc. Pour les abonnés Unlimited, la surveillance des domaines effectue des différences WHOIS hebdomadaires sur les domaines suivis et vérifie les noms de domaine ressemblants nouvellement enregistrés, faisant apparaître les changements visibles par le registraire, les serveurs de noms et le déclarant peu après qu'ils se produisent plutôt que seulement lorsque quelqu'un se penche à nouveau sur le sujet.
- Sauvegarder un instantané horodaté des données RDAP et DNS pour les domaines que vous suivez.
- Comparez le bureau d'enregistrement, le statut, les serveurs de noms et les événements de dernière modification au fil du temps.
- Comparez les enregistrements MX et A/AAAA pour détecter les changements de fournisseur de messagerie ou d'hébergement.
- Vérifier la transparence des certificats pour une nouvelle émission à peu près au même moment.
- Utilisez les différences de surveillance hebdomadaires pour les domaines nécessitant une attention continue.